信息安全体系培训条款.docVIP

ISO 27001信息安全体系培训 (条款 4~8 ISMS ISO27001培训系列 V1.0 内容 ?信息安全管理体系(条款 4 ?管理职责(条款 5 ?ISMS 内部审核(条款 6 ?ISMS 管理评审(条款 7 ?ISMS 改进(条款 8 ?风险评估和处理 条款 4 4.1总要求 组织应根据整体业务活动和风险,建立、实施、运 行、监视、评审、保持并改进文件化的信息安全管 理体系。本标准应用了图 1所示的 PDCA 模式。 4.2建立并管理 ISMS 4.2.1建立 ISMS a 根据组织业务特征、组织、地理位置、资产、技术以及 任何删减的细节和合理性来确定 ISMS 范围 b 根据组织业务特征、组织、地理位置、资产和技术确定 ISMS 方针 c 确定组织的 风险评估方法 d 识别 风险 e 分析并评价 风险 f 识别和评价风险 处理的选择 g 选择风险处理的 控制目标和控制方式 4.2.2实施和运行ISMS a阐明风险处理计划,它为信息安全风险管理指出了适当的管理措施、职责 和优先级; b实施风险处理计划以达到确定的控制目标,应考虑资金需求以及角色和职 责分配; c选择的控制以达到控制目标; d确定如何测量所选择的一个/组控制措施的有效性,并规定这些测量措施如 何用于评估控制的有效性以得出可比较的、可重复的结果; e实施培训和意识方案(见5.2.2; f